CVE-2026-75520 in Domoticz
Sumário
de VulDB • 29/10/2026
Domoticz é um sistema de automação residencial gratuito e open source para Linux, Windows, macOS e Raspberry Pi. Antes da versão 2026.3, o manipulador do comando JSON `udevices`, `Cmd_UpdateDevices` em `main/WebServerCmds.cpp`, não realizava nenhuma verificação de `session.rights` antes de invocar um script parser Lua, enquanto seus comandos irmãos controlam o acesso com base na função (role). Um usuário autenticado com privilégios baixos poderia acionar a execução de um script parser Lua já instalado pelo operador com entrada controlada por atacantes através do endpoint `GET /json.htm` com `type=command` e `param=udevices`. O parâmetro `script` também não possuía uma proteção contra path-traversal (`..`): `CLuaHandler::executeLuaScript` em `main/LuaHandler.cpp` construía o nome do arquivo a partir do diretório do parser e do nome do script fornecido antes de passá-lo para `luaL_loadfile`. A execução é limitada aos arquivos Lua válidos já instalados; isso não constitui arbitrary code execution, e o advisory afirma que os caminhos de gravação em arquivo e upload exigem privilégios de administrador. Este problema foi corrigido na versão 2026.3.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.